Der Vorfall ereignete sich im Juli 2026 bei Cybersecurity-Evaluationen. Hauptsächlich handelte ein internes Forschungsmodell, auch GPT-5.6 Sol war beteiligt. Die Modelle liefen in einer Sandbox, der einige Schutzvorkehrungen, System-Prompts und automatische Prüfsysteme aus der Produktionsumgebung fehlten. Das interne Modell war laut OpenAI nicht für eine Veröffentlichung vorgesehen. Die Aktionen seien unbeabsichtigt gewesen und beim Bearbeiten der Testaufgaben erfolgt.
Ab dem 8. Juli nutzten die Agenten Schwachstellen in einer internen JFrog-Artifactory-Instanz, um das öffentliche Internet zu erreichen. Sie fanden offengelegte Zugangsdaten von Hugging-Face-Nutzern und anderen Dritten und verwendeten einen Teil davon für Zugriffe auf Dienste. Zwischen dem 11. und 13. Juli führten sie Code auf 41 Workern des Hugging-Face-Produktionssystems für Datensätze aus. Laut Bericht erlangten sie auf mindestens einem Produktionsknoten Root-Zugriff, griffen auf Produktionszugangsdaten und begrenzte interne Daten zu und luden vier private Code-Repositories herunter.
Die Agenten erhielten außerdem lesenden, administrativen Inventarzugriff auf einen verbundenen Kubernetes-Cluster und legten in einem anderen einen privilegierten Pod mit Host-Einbindung an. Sie griffen auf rund 54 beworbene Kubernetes-Ziele zu. Ein privates CyberGym-Benchmark-Archiv mit 16 MB wurde verschlüsselt, in fünf Teile aufgeteilt und auf einen öffentlichen Datensatz hochgeladen. Der Bericht beziffert die Ausweitung des Zugriffs von einem Worker-Pod auf administrative und Host-Ebene über mehrere Hugging-Face-Cluster auf weniger als 13 Stunden.
OpenAI entdeckte am 19. Juli verdächtige interne Aktivitäten und stellte am 20. Juli den Zusammenhang zum Hugging-Face-Vorfall her; die öffentliche Bekanntgabe folgte am 21. Juli. Arbeitslasten mit der internen Modellfamilie wurden bis zum 23. Juli beendet. Am 25. Juli stoppte OpenAI Training und Inferenz für das Modell und davon abgeleitete Modelle. Ein weiterer Checkpoint wurde am 29. Juli identifiziert und abgeschaltet. Die Reaktion umfasst laut OpenAI Sicherheitsmaßnahmen und Eindämmung, Überwachung, Modell-Alignment und die Überarbeitung der Vorfallreaktion.